NIS 2

La directive (UE) 2022/2555, dite NIS 2, remplace la directive NIS de 2016 et élargit considérablement le nombre d'organisations soumises à des obligations de cybersécurité : énergie, transports, santé, eau, numérique, administration, mais aussi agroalimentaire, chimie, gestion des déchets, services postaux ou fabrication. Les entités sont classées « essentielles » ou « importantes » selon leur taille et leur secteur.

Elle impose des mesures de gestion des risques (analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, chiffrement, authentification multifacteur, formation), une notification des incidents importants à l'autorité nationale (en France, l'ANSSI) sous 24 heures pour l'alerte précoce, et responsabilise personnellement les dirigeants. En France, la loi de transposition a été adoptée en 2025.

Plusieurs milliers d'entreprises françaises, dont de nombreuses ETI qui n'étaient soumises à rien, entrent dans le champ. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et les dirigeants peuvent être tenus responsables. Les donneurs d'ordre répercutent déjà ces exigences sur leurs fournisseurs.

• Vérifier si l'entreprise est une entité essentielle ou importante et s'enregistrer auprès de l'ANSSI
• Réaliser une analyse des risques et un plan de traitement documentés
• Déployer les mesures minimales : MFA, sauvegardes, gestion des vulnérabilités, journalisation
• Organiser la détection et la notification des incidents dans les délais
• Former les dirigeants (obligation légale) et sensibiliser les équipes
• Auditer la sécurité des fournisseurs critiques

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2)
• Loi française de transposition relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité (2025) et ses décrets
• Référentiels et guides de l'ANSSI